Kişisel Verilerin Korunması Kanunu (KVKK) Aydınlatma Metni

Bu metin, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun (KVKK) 10. maddesi uyarınca, DEEPPLANE™ tarafından kişisel verileri işlenen hastaları, cerrahları ve site ziyaretçilerini bilgilendirmek için hazırlanmıştır. Gizlilik Politikamızın (İngilizce) ilgili bölümlerinin Türkçe karşılığıdır; ikisi arasında bir fark görürseniz lütfen bize bildirin.

1. Veri sorumlusu

Healthgov OÜ (ticari adı DEEPPLANE™), Estonya sicil numarası 16656270, Valge tn 13, Tallinn 11415, Estonya. İletişim: hello@deepplane.com.

Bu metin, bir VERBİS kaydının, Türkiye'de bir veri sorumlusu temsilcisinin veya Kişisel Verileri Koruma Kurumu'na yapılmış bir aktarım taahhüdünün ya da standart sözleşme bildiriminin bulunduğunu iddia etmez; bunların hiçbiri doğrulanmış değildir.

2. Türkiye'de yaşayan hastalar

Türkiye'de yaşayan hastalardan şu anda talep kabul etmiyoruz; tek dar istisna, kendi cerrahınızın gönderdiği gün tutma bağlantısıdır (aşağıdaki paragraf). Beyan edilen ülkesi Türkiye olan, cep telefonu numarası +90 ile başlayan, Türkiye'den gönderilen veya cihazının saat dilimi Türkiye'ye ayarlı olan bir talep reddedilir ve bu talepten hiçbir kişisel veri saklanmaz.

Tek istisna, kendi cerrahınızın gün tutma bağlantısı: bir cerrah kendi hastasına bir ameliyat gününü tutan bir bağlantı gönderebilir ve cerrahın yazdığı numara +90 ile başlayan bir numara olabilir. Siz yanıtlayana kadar yalnızca bu numarayı ve tutmanın ayrıntılarını saklarız. Sayfanız önce nerede yaşadığınızı sorar. Türkiye dışında yaşadığınızı belirtirseniz ve cihazınızın saat dilimi ile bağlantınız Türkiye'de değilse, adınızı, e-posta adresinizi ve onayınızı verebilirsiniz; bunları o zaman saklarız. "Türkiye'de" yanıtını verirseniz veya saat dilimi ya da bağlantı Türkiye'deyse ad ve e-posta saklanmaz; "Türkiye'de" yanıtını onaylarsanız gün hemen cerraha geri döner ve numara silinir.

Tuttuğumuz tek şey, her ret için anonim bir sayaç satırıdır: hangi giriş noktasının reddettiği, reddi hangi işaretin tetiklediği (saat dilimi, ülke, numara öneki veya okuyucunun ülkesi), rastgele bir tanımlayıcı ve tarih. Ad, numara, adres, IP adresi veya jeton içermez; bu nedenle sizi tanımlamaya elverişli değildir.

Bu kuraldan önce gönderilmiş bir talep kendiliğinden silinmez; silinmesini hello@deepplane.com adresine yazarak isteyebilirsiniz.

3. Türkiye dışında yaşayan hastalar

İşlenen veriler: adınız, iletişim bilgileriniz (cep telefonu numarası, isteğe bağlı e-posta), yaşınız, ülkeniz, talebinizin özeti (istenen operasyonlar, bütçe aralığı, zamanlama, hedef ülke ve şehir) ve sağlık bilgileriniz: sağlığınız ve tıbbi geçmişiniz hakkındaki yanıtlarınız (örneğin hastalıklar, sigara kullanımı, boy ve kilo, önceki işlemler) ile yüklediğiniz fotoğraflar. Sağlık bilgileri ve fotoğraflar, KVKK m. 6 ve GDPR m. 9 kapsamında özel nitelikli kişisel veridir.

Üç ayrı onay: talep formunda üç ayrı kutu sorulur.

• Sağlık verisi ve fotoğrafların işlenmesi (zorunlu): bu verilerin, talebiniz için cerrah bulmak amacıyla işlenmesine açık rızanız (KVKK m. 6/3; GDPR m. 9(2)(a)). Formda "Türkiye'de yaşamadığımı onaylıyorum" beyanı da bu kutuyla birliktedir.
• Cerrahlarla paylaşım (zorunlu): seçtiğiniz konumlardaki cerrahların, ülkenizin ve Avrupa Ekonomik Alanı'nın dışındaki cerrahlar dahil, talebinizi görmesine ve sizinle konsültasyon için iletişime geçmesine rızanız.
• SMS veya WhatsApp ile iletişim (isteğe bağlı): DEEPPLANE™'in bu talep hakkında size SMS veya WhatsApp ile mesaj göndermesine rızanız. Bu kutuyu işaretlemeden de talep gönderebilirsiniz.

Her onayı, istediğiniz zaman veri talebi sayfası üzerinden geri çekebilirsiniz; geri çekme, öncesindeki işlemenin hukuka uygunluğunu etkilemez.

Kademeli paylaşım: bir cerrah talebinizi açana kadar cerrahlar onu kısaltılmış biçimde görür: vakanın özeti ve fotoğraflarınızın düşük çözünürlüklü, filigranlı bir önizlemesi; adınız ve iletişim bilgileriniz olmadan. Tam adınız, iletişim bilgileriniz ve tam çözünürlüklü fotoğraflarınız yalnızca, talebi açan doğrulanmış ve kayıtlı bir cerraha görünür. Fotoğraflarınız hiçbir herkese açık sayfada yayımlanmaz.

Türkiye'deki bir cerrahın bulunduğu bir konum seçerseniz talebiniz o cerraha da gösterilebilir.

4. Cerrahlar (Türkiye'de görev yapan hekimler)

İşlenen veriler: sizin veya muayenehanenizin kamuya açık hale getirdiği mesleki bilgiler: ad ve unvan, uzmanlık, muayenehane adı, adresi, şehri ve ülkesi, internet sitesi, hastalara yayımlanmış muayenehane telefonu, WhatsApp, e-posta ve Instagram hesabı, profil fotoğrafı, mesleki tescil ve uzmanlık belgesi bilgileri, yayımlanmış araştırmalar ve Google İşletme Profilinizin puanı ile yorum sayısı. Hesap açan hekimler için ayrıca hesap ve iletişim bilgileri, ödeme ve fatura kayıtları ve panel kullanım kayıtları.

Kaynaklar: kendi muayenehane internet siteniz, Google İşletme Profiliniz, herkese açık Instagram profiliniz, ABD NPI Kayıt Sistemi ve PubMed gibi herkese açık mesleki kayıtlar, Sağlık Bakanlığı'nın uluslararası sağlık turizmi yetki kaydı ve muayenehanenizi listeleyen diğer herkese açık internet sayfaları.

Amaç ve hukuki sebep: hastaların derin plan yüz germe yapan cerrahları bulabilmesi ve her cerrah hakkında nelerin doğrulanıp nelerin doğrulanmadığını kontrol edebilmesi; profilinizin var olduğunu size bildirmek. Hukuki sebepler: ilgili kişinin kendisi tarafından alenileştirilmiş olma (KVKK m. 5/2-d) ve ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaati (KVKK m. 5/2-f). Yalnızca alenileştirilmiş mesleki bilgiyi kullanırız ve her zaman itiraz edebilirsiniz.

Kaldırma ve itiraz: profilinizin kaldırılmasını, böylece işlemeye itiraz etmeyi, Listemden kaldır (/remove-my-listing) sayfasından isteyebilirsiniz. Tek başına bir talep üzerine hiçbir şey kaldırılmaz: listenizde kayıtlı e-posta adresine (hesaplı bir profil için hesabın giriş adresine) bir onay kodu veya bağlantısı göndeririz; talep onaylandığında profiliniz çevrimdışı olur, geri almanız için 48 saatlik bir süre tanınır, ardından arama motorlarından çıkarılır ve yeniden listelenmesini engelleyen bir listeye eklenir.

Size ulaşırsak, yalnızca yayımlanmış muayenehane e-posta adresine, WhatsApp numarasına veya Instagram hesabına yazarız; her davet, profili sahiplenme seçeneğinin yanında kaldırma yolunu da gösterir.

5. Site ziyaretçileri

IP adresinizden türetilen ülke (içerik kurallarını uygulamak için), tarayıcı ve cihaz bilgileri, çerez tercihleriniz ve iletişim formuyla bize gönderdikleriniz. Google Analytics 4, yalnızca çerez bannerında analitik çerezlerini kabul ettikten sonra yüklenir; Plausible Analytics çerezsizdir ve bir çerez tercihi beklemeden yüklenir. Türkiye'den gelen ziyaretçiler için ikisi de yüklenmez. Hata izleme hizmeti Sentry (AB bölgesi hesabı), site hata verdiğinde teknik ayrıntıları (sayfa, tarayıcınız ve IP adresiniz) alır ve bazı ziyaretleri ve hata alan her ziyareti, tüm metin ve medyası maskelenmiş bir oturum kaydı olarak saklar.

6. İşleme amaçları ve hukuki sebepler (KVKK m. 5 ve 6)

Amaçlar: cerrah dizinini ve doğrulama bilgilerini sunmak; hesapları yönetmek ve hizmeti sağlamak; talepleri ve yazışmaları yanıtlamak; ödemeleri işlemek; hizmetin güvenliğini sağlamak ve kötüye kullanımı önlemek; hukuki yükümlülükleri yerine getirmek.

Hukuki sebepler (KVKK m. 5): bir sözleşmenin kurulması veya ifası; veri sorumlusunun hukuki yükümlülüğü; ilgili kişinin alenileştirmiş olması (hekimlerin kamuya açık mesleki bilgileri); temel hak ve özgürlüklere zarar vermemek kaydıyla meşru menfaat; çerez ve analitik için açık rıza. Hastaların sağlık verisi ve fotoğrafları (özel nitelikli kişisel veri, KVKK m. 6) yalnızca açık rızaya dayanır.

7. Aktarım: alıcılar ve yurt dışına aktarım (KVKK m. 8 ve 9)

Veri sorumlusu Estonya'da yerleşiktir; kişisel veriler Türkiye dışında, Avrupa Birliği'nde ve hizmet sağlayıcılarımızın faaliyet gösterdiği ülkelerde işlenir. Hizmet sağlayıcılarımız ve onlara ne gönderdiğimiz:

• Cerrahlar: talepler, yukarıdaki kademeli paylaşıma göre, seçtiğiniz konumlardaki cerrahlara gösterilir.
• Hetzner (Almanya): sunucularımız ve veritabanımız.
• Amazon Web Services S3 (Frankfurt, eu-central-1): hasta fotoğrafları şifreli olarak saklanır; bir cerrah bunlara yalnızca kısa ömürlü imzalı bağlantılarla erişir.
• Cloudflare: HTTP uç önbelleği ve DDoS koruması; standart istek günlükleri.
• Resend: işlemsel e-postalar (alıcı adresi, konu, gövde).
• Stripe: ödemeler (müşteri kimliği, tutar, para birimi); kart bilgileri doğrudan Stripe'ta işlenir.
• Twilio: talebiniz hakkında WhatsApp veya SMS mesajları (yalnızca formda buna onay verdiyseniz veya bize yazdığınız bir mesaja yanıt olarak), tek kullanımlık kodlar ve sesli mesaj hattı kayıtları.
• Anthropic (Claude), NVIDIA ve Google (Gemini): yapay zekâ işleme. Talebinizin serbest metni, adınız, ülkeniz ve yaşınız çeviri ve yanıt taslağı için Anthropic'e gönderilir; Anthropic yanıt vermezse aynı istek NVIDIA'ya veya Google'a gidebilir. Soyadınız, e-postanız, telefon numaranız ve sağlık geçmişi alanları gönderilmez. Google ayrıca yüklediğiniz fotoğrafı gerçek hasta fotoğrafı olup olmadığını denetlemek için bir kez, hekim hesabı sahipleri için kimlik doğrulama belgelerini ve sesli mesaj kayıtlarını alır.
• Google Analytics 4, Plausible, Sentry: bölüm 5'te anlatıldığı gibi.
• Yetkili makamlar: kanunen yetkili makamlara.

Yurt dışına aktarımın dayanağı: hastalar bakımından, talebin cerrahlara aktarımı talep formunda verilen açık rızaya dayanır. Hizmet sağlayıcılarımız için, sundukları yerde standart veri işleme şartlarındaki Standart Sözleşme Maddelerine dayanırız; hangi şartların hangi sağlayıcı için geçerli olduğuna dair sağlayıcı bazında bir kaydı henüz yayımlamadık ve burada tek tek sağlayıcılar için belirli bir güvence iddia etmiyoruz. Talepleri alan cerrahlarla henüz ayrı standart sözleşme maddeleri yapmadık. Bir aktarım taahhüdü veya standart sözleşmenin Kurum'a bildirildiğini iddia etmiyoruz.

Bilmeniz gereken risk: Türkiye gibi Avrupa Birliği yeterlilik kararı bulunmayan bir ülkede veri koruma hukuku, Avrupa Birliği'nde sahip olduğunuz koruma düzeyini veya uygulama imkânlarını sağlamayabilir. Rızanızı istediğiniz zaman geri çekebilirsiniz; ancak bu, gerçekleşmiş bir aktarımı geri alamaz.

8. Saklama süresi

Hasta talepleri: adınız, iletişim bilgileriniz, sağlık bilgileriniz ve fotoğraflarınız, talebi gönderdiğiniz tarihten 12 ay sonra silinir veya anonim hale getirilir; talebinizi alan bir cerrah hâlâ onunla çalışıyorsa veya bir ödeme ya da rezervasyon kaydı onu saklamak zorunda olduğumuz bir faturaya bağlıyorsa bu süre uzayabilir. Daha önce silinmesini istediğiniz her zaman isteyebilirsiniz. Ödeme ve fatura kayıtları, Estonya muhasebe mevzuatı gereği yedi yıl saklanır.

9. Haklarınız (KVKK m. 11) ve başvuru

KVKK m. 11 uyarınca: kişisel verilerinizin işlenip işlenmediğini öğrenme; işlenmişse buna ilişkin bilgi talep etme; işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme; yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme; eksik veya yanlış işlenmişse düzeltilmesini isteme; KVKK m. 7 çerçevesinde silinmesini veya yok edilmesini isteme; düzeltme ve silme işlemlerinin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme; münhasıran otomatik sistemlerle analiz edilmesi sonucu aleyhinize bir sonuç doğmasına itiraz etme; kanuna aykırı işleme nedeniyle zarara uğramanız hâlinde zararın giderilmesini talep etme haklarına sahipsiniz.

Başvuru: hello@deepplane.com adresine yazın veya iletişim formunu kullanın. Başvurunuzu en geç otuz gün içinde ücretsiz yanıtlarız (KVKK m. 13). Yanıtımızdan memnun kalmazsanız Kişisel Verileri Koruma Kurulu'na şikâyette bulunabilirsiniz (KVKK m. 14).